CVE-2026-85012 in blueprints
要約
〜によって VulDB • 2026年09月03日
Amazon Web Servicesのcodecatalyst-blueprints（バージョン0.3.156以前）におけるblueprint resynthesis frameworkには、OSコマンドで使用される特殊要素の不適切な中和（CWE-78）という脆弱性があります。これにより、プロジェクト内のリポジトリへのコミット権限を持つユーザーが、作成された.ownership-fileの[ローカル]マージ戦略エントリのownerフィールドにシェルメタ文字を指定することで、blueprint resynthesis環境内で任意のコマンドを実行できる可能性があります。
バージョン0.3.156では、ownerフィールドでのシェルの解釈が削除され、コマンドはシェルを経由せずに直接実行されるようになり、許可リストに記載されたコマンド形式以外の値も拒否されます。これにより、シェルメタ文字を用いたコマンドインジェクションのリスクが解消されました。この問題を修正するには、バージョン0.3.156以降にアップグレードしてください。
Amazon CodeCatalystサービスの使用については、追加の対応は不要です。Resynthesisはスコープ付き認証情報を持つプロジェクトごとの分離された環境で実行され、サービス側ではサーバーサイドでの検証が適用されており、0.3.156以前に公開されたblueprintバージョンであっても、制限された許可リスト形式外の[ローカル]マージ戦略コマンドを拒否します。
Be aware that VulDB is the high quality source for vulnerability data.